Der Verwaltungsgerichtshof hat durch die Vorsitzende Senatspräsidentin Dr. Pollak, den Hofrat Dr. Mayr, die Hofrätin Mag. Hainz Sator sowie die Hofräte Dr. Pürgy und Mag. Brandl als Richter, unter Mitwirkung der Schriftführerin Dr.in Zeitfogel, über die Revision des Bürgermeisters der Stadt Wels, vertreten durch die Schramm Öhler Rechtsanwälte GmbH in 1010 Wien, Bartensteingasse 2, gegen das Erkenntnis des Bundesverwaltungsgerichts vom 15. April 2021, Zl. W101 2163119 1/16E, betreffend eine datenschutzrechtliche Angelegenheit (belangte Behörde vor dem Verwaltungsgericht: Datenschutzbehörde; mitbeteiligte Partei: Mag. F D in W; weitere Partei: Bundesministerin für Justiz), zu Recht erkannt:
Das angefochtene Erkenntnis wird wegen Rechtswidrigkeit seines Inhaltes aufgehoben.
Der Bund hat dem Revisionswerber Aufwendungen in der Höhe von € 1.346,40 binnen zwei Wochen bei sonstiger Exekution zu ersetzen.
I.
1 1. Mit Bescheid vom 7. April 2017 gab die belangte Behörde der Datenschutzbeschwerde der mitbeteiligten Partei statt und stellte fest, dass der Revisionswerber (als Bürgermeister der Statutarstadt Wels und auch als Meldebehörde) die mitbeteiligte Partei dadurch im Recht auf Geheimhaltung personenbezogener Daten verletzt habe, dass er deren Daten zu den Datenarten Name, Geburtsdatum, Staatsangehörigkeit und Adresse des Hauptwohnsitzes aus der Datenanwendung „Lokales Melderegister“ für den Zweck der Durchführung der „Bürgerumfrage 2016“ verwendet habe.
2 Dies begründete die belangte Behörde damit, dass die Verwendung von Meldedaten, die jeder Meldepflichtige der Meldebehörde bekannt geben müsse, als behördlicher Eingriff in das Geheimhaltungsrecht im Sinn des verfassungsrechtlichen Legalitätsprinzips gemäß § 1 Abs. 2 DSG 2000 einer gesetzlichen Zweckbindung unterliege. Gemäß § 6 Abs. 1 Z 2 sowie § 7 Abs. 2 Z 2 und Z 3 DSG 2000 sei die Datenverwendung somit unzulässig gewesen, weil sie weder durch eine gesetzliche Grundlage gedeckt noch dem Zweck nach mit schutzwürdigen Geheimhaltungsinteressen der mitbeteiligten Partei in Einklang gebracht werden könne. Der Datenschutzbeschwerde sei daher Folge zu geben und ein Eingriff in das Geheimhaltungsinteresse der mitbeteiligten Partei, das auch ein Verbot der unzulässigen Verwendung von Daten für ein anderes Aufgabengebiet beinhalte, festzustellen gewesen.
3 2.1. Die dagegen erhobene Beschwerde des Revisionswerbers wurde vom Verwaltungsgericht mit dem angefochtenen Erkenntnis vom 15. April 2021 mit der Maßgabe als unbegründet abgewiesen, dass der Spruch des angefochtenen Bescheides nach der Wortfolge „es wird festgestellt“ wie folgt zu lauten habe:
„dass der Magistrat der Stadt Wels Herrn Mag. [F D] dadurch im Recht auf Geheimhaltung personenbezogener Daten verletzt hat, dass er dessen Daten zu den Datenarten Name, Geburtsdatum, Staatsangehörigkeit und Adresse als Hauptwohnsitz aus der Datenanwendung ‚Lokales Melderegister‘ als Auftraggeber für den Zweck der Durchführung der Bürgerumfrage 2016 in zweifacher Art verarbeitet hat“.
4 Die Revision erklärte das Verwaltungsgericht gemäß Art. 133 Abs. 4 B VG für nicht zulässig.
5 2.2. In der Begründung stellte das Verwaltungsgericht fest, die mitbeteiligte Partei habe in ihrer Datenschutzbeschwerde geltend gemacht, dass zur Durchführung der Bürgerumfrage 2016 ihre personenbezogenen Daten aus dem lokalen Melderegister abgefragt worden seien. Die mitbeteiligte Partei habe postalisch namentlich an sie adressiert ein Informationsschreiben und einen Fragebogen erhalten, wodurch sie sich in ihrem Recht auf Geheimhaltung schutzwürdiger personenbezogener Daten als verletzt erachte.
An der Bürgerumfrage seien alle Staatsbürger und EU Bürger teilnahmeberechtigt, die mit Stichtag 1. September 2016 ihren Hauptwohnsitz in der Stadt Wels und mit Stichtag vom 2. Oktober 2016 das 16. Lebensjahr vollendet hätten. Im Amtsblatt der Stadt Wels vom 12. September 2016 seien bereits ein Informationsschreiben und ein Fragebogen zur Bürgerumfrage veröffentlicht worden. Dieses Amtsblatt sei an jeden Haushalt in Wels übermittelt worden.
Um die Kriterien der Teilnahmeberechtigung an der Bürgerumfrage zu ermitteln, habe der Revisionswerber sodann die personenbezogenen Daten der mitbeteiligten Partei zu den Datenarten Name, Geburtsdatum, Staatsangehörigkeit und Adresse des Hauptwohnsitzes in der Stadt Wels aus dem lokalen Melderegister (ZMR) abgefragt. Im Anschluss daran seien aus dem ZMR die personenbezogenen Daten der mitbeteiligten Partei (und aller anderen teilnahmeberechtigten Bürger der Stadt Wels) zu den Datenarten Name und Adresse entnommen worden, um ihn (bzw. ihnen) eine Briefsendung namentlich an sie adressiert zuzustellen. In dem an die teilnahmeberechtigte mitbeteiligte Partei versendeten Brief seien das Informationsschreiben und der Fragebogen zur Bürgerumfrage samt Zugangscode enthalten gewesen.
Das Informationsschreiben und der Fragebogen zur Bürgerumfrage in der Veröffentlichung im Amtsblatt und in der postalischen Versendung an die mitbeteiligte Partei seien inhaltlich deckungsgleich. Im Zuge der postalischen Versendung sei nur zusätzlich ein persönlicher Zugangscode an die mitbeteiligte Partei (und andere teilnahmeberechtigte Personen) übermittelt worden, um auf diese Weise sicherzustellen, dass jeder teilnahmeberechtigte Bürger von Wels nur einen Fragebogen zur Bürgerumfrage abgebe.
Nach dem Informationsschreiben habe es für die mitbeteiligten Bürger und Bürgerinnen drei Möglichkeiten gegeben, um den Fragebogen zur Bürgerumfrage samt persönlichem Zugangscode einzureichen, nämlich erstens „Über das Internet“ unter Eingabe des persönlichen Zugangscodes über eine näher bezeichnete Internetadresse, zweitens „In Papierform vorab im Rathaus“ (Fragebogen mit persönlichem Zugangscode) und drittens „In Papierform am Tag der Bundespräsidentenwahl“ (Fragebogen in Papierform).
Zusammengefasst werde festgestellt, dass zur Durchführung der Bürgerumfrage personenbezogene Daten der mitbeteiligten Partei einerseits zur Ermittlung der Teilnahmeberechtigung aus dem ZMR abgefragt und andererseits zur postalischen Versendung des Informationsschreibens (mit Fragebogen und Zugangscode) benutzt worden seien.
6 In seinen rechtlichen Erwägungen führte das Verwaltungsgericht zunächst aus, dass der Vorgang der zu beurteilenden Verletzung des Rechts auf Geheimhaltung mit der an die mitbeteiligte Partei adressierten Briefsendung im September 2016 abgeschlossen sei. Nach (näher bezeichneter) Rechtsprechung des Verwaltungsgerichtshofes sei bei der Beurteilung der Rechtmäßigkeit eines solchen vor Inkrafttreten der DSGVO am 25. Mai 2018 abgeschlossenen Vorgangs einer möglichen Datenschutzverletzung des Rechts auf Geheimhaltung die alte Rechtslage des DSG 2000 anzuwenden.
7 Es gehe gegenständlich um die Beurteilung, ob in der vorliegenden Konstellation das Ermitteln bzw. Abfragen der Daten der teilnahmeberechtigten mitbeteiligten Partei zu den Datenarten Name, Geburtsdatum, Staatsangehörigkeit und Adresse des Hauptwohnsitzes aus der Datenanwendung „Lokales Melderegister“ und das Benutzen der derart abgefragten Daten zu den Datenarten Name und Adresse für eine Briefsendung als „gesetzlich übertragene Aufgabe“ im Sinn des § 8 Abs. 3 Z 1 DSG 2000 in Verbindung mit der lex specialis des § 20 Abs. 3 zweiter Satz MeldeG gedeckt gewesen seien. In der Folge sei zu prüfen, ob der Auftraggeber durch die weitere lex specialis der landesgesetzlichen Bestimmung des § 70 Abs. 2 des Statuts der Stadt Wels 1992 (StW 1992) als „gesetzlich übertragene Aufgabe“ zu den erfolgten Eingriffen in die personenbezogenen Daten der mitbeteiligten Partei ermächtigt gewesen sei. Bei der vorzunehmenden Prüfung müsse darüber hinaus berücksichtigt werden, dass gemäß § 7 Abs. 3 DSG 2000 Eingriffe in das Grundrecht auf Datenschutz nur im erforderlichen Ausmaß und mit den gelindesten zur Verfügung stehenden Mitteln erfolgen dürften.
8 Da dieselbe inhaltliche Information bereits am 12. September 2016 über das Amtsblatt an alle Haushalte in Wels ergangen sei, erweise sich die (nach vorangegangener Abfrage aus dem lokalen Melderegister erfolgte) postalische Versendung an alle Teilnahmeberechtigten weder als erforderlich noch könne sie als das gelindeste zur Verfügung stehende Mittel bezeichnet werden, insbesondere vor dem Hintergrund, dass die Verteilung eines Zugangscodes an teilnahmeberechtigte Personen auch in anderer Form hätte durchgeführt werden können. So hätte etwa die Freiwilligkeit an der bzw. die Zustimmung zur Teilnahme an der Bürgerumfrage aus umgekehrter Sicht Voraussetzung dafür sein können, dass die betroffene Person einen Zugangscode erhalte. Durch eine derartige andere Vorgehensweise hätten die durchgeführten Eingriffe in das Grundrecht auf Geheimhaltung personenbezogener Daten all jener teilnahmeberechtigten Bürger der Stadt hintangehalten werden können, die letztlich überhaupt nicht freiwillig an der Bürgerumfrage teilgenommen hätten. Insofern werde deutlich, dass die durchgeführten Eingriffe in personenbezogene Daten eines großen nicht erforderlichen Teiles von teilnahmeberechtigten Bürgern der Stadt stattgefunden hätten, sodass auch der festgelegte, eindeutige und rechtmäßige Zweck im Sinn des Grundsatzes des § 6 Abs. 1 Z 2 DSG 2000 nicht vorgelegen sei.
9 Folglich könne die durchgeführte zweifache Verarbeitung der Daten aller teilnahmeberechtigten Personen wie der mitbeteiligten Partei weder eine Deckung in § 8 Abs. 3 Z 1 DSG 2000 in Verbindung mit § 20 Abs. 3 zweiter Satz MeldeG noch in der landesgesetzlichen Bestimmung des § 70 Abs. 2 StW 1992 finden.
10 Da der Revisionswerber durch die bei der mitbeteiligten Partei vorgenommenen Eingriffe in das Recht auf Geheimhaltung keine gesetzlich übertragene Aufgabe wahrgenommen habe, liege in der gegenständlichen Fallkonstellation auch keine Verwendung von Daten für ein anderes Aufgabengebiet und damit keine Übermittlung im Sinn des § 4 Z 12 DSG 2000 vor.
11 Im Ergebnis habe der Revisionswerber als Auftraggeber für die Datenanwendung „Lokales Melderegister“ für den Zweck der Durchführung einer Bürgerumfrage die personenbezogenen Daten durch Ermitteln bzw. Abfragen und durch Benutzen für eine Briefsendung in gemäß § 7 Abs. 1 und 3 DSG 2000 unzulässiger Weise in zweifacher Art verarbeitet und dadurch die mitbeteiligte Partei in ihrem Recht auf Geheimhaltung verletzt.
12 Die erhobene Beschwerde des Revisionswerbers sei daher abzuweisen gewesen mit der Maßgabe, dass der erstinstanzliche Spruch im Feststellungsteil spruchgemäß abzuändern gewesen sei.
13 3. Gegen dieses Erkenntnis richtet sich die vorliegende außerordentliche Revision.
14 Im eingeleiteten Vorverfahren erstattete die mitbeteiligte Partei eine Revisionsbeantwortung.
II.
Der Verwaltungsgerichtshof hat erwogen:
15 1.1. In der Revision wird zur Begründung ihrer Zulässigkeit vorgebracht, es fehle Rechtsprechung zur Frage, ob Meldedaten im Rahmen einer Bürgerumfrage zur Kontaktaufnahme mit Teilnahmeberechtigten genützt werden dürften. Die Beantwortung dieser Frage sei für den Ausgang des Verfahrens relevant, weil das Verwaltungsgericht bei richtiger Rechtsansicht zum Ergebnis gelangt wäre, dass die Vorgehensweise des Revisionswerbers rechtmäßig gewesen sei.
16 1.2. Die Revision erweist sich in Hinblick auf dieses Vorbringen als zulässig und aus nachstehende Gründen auch als berechtigt.
17 2.1. Das Verwaltungsgericht ging zu Recht davon aus, dass bei der Beurteilung der Rechtmäßigkeit eines vor Inkrafttreten der DSGVO abgeschlossenen Vorgangs einer möglichen Datenschutzverletzung des Rechts auf Geheimhaltung (hier: die Briefsendung an die mitbeteiligte Partei im September 2016) im vorliegenden Fall die alte Rechtslage des DSG 2000 anzuwenden ist (vgl. VwGH 23.2.2021, Ra 2019/04/0054, Rn. 26, mwN).
18 2.2. Gemäß § 7 Abs. 1 Datenschutzgesetz 2000 (DSG 2000), BGBl. I Nr. 165/1999, dürfen Daten nur verarbeitet werden, soweit Zweck und Inhalt der Datenanwendung von den gesetzlichen Zuständigkeiten oder rechtlichen Befugnissen des jeweiligen Auftraggebers gedeckt sind und die schutzwürdigen Geheimhaltungsinteressen der Betroffenen nicht verletzen. Nach Abs. 3 leg. cit. setzt die Zulässigkeit einer Datenverwendung voraus, dass die dadurch verursachten Eingriffe in das Grundrecht auf Datenschutz nur im erforderlichen Ausmaß und mit den gelindesten zur Verfügung stehenden Mitteln erfolgen und dass die Grundsätze des § 6 DSG 2000 eingehalten werden.
19 Die gesetzliche Zuständigkeit stellt für Auftraggeber des öffentlichen Bereichs die Grundvoraussetzung für die Zulässigkeit einer Datenanwendung dar. Diese Voraussetzung trägt für den Bereich der Hoheitsverwaltung dem allgemeinen Legalitätsprinzip des Art. 18 Abs. 1 B VG Rechnung, nach dem die gesamte staatliche Verwaltung nur auf Grund der Gesetze ausgeübt werden darf (vgl. Jahnel , Handbuch Datenschutzrecht [2010] Rz 4/11).
20 Gemäß § 8 Abs. 1 Z 1 DSG 2000 sind schutzwürdige Geheimhaltungsinteressen bei Verwendung nicht-sensibler Daten dann nicht verletzt, wenn eine ausdrückliche gesetzliche Ermächtigung oder Verpflichtung zur Verwendung der Daten besteht.
21 Im vorliegenden Fall kommt hinzu, dass § 20 Abs. 3 letzter Satz Meldegesetz 1991, BGBl. Nr. 9/1992, die Bürgermeister ermächtigt, die in ihrem Melderegister enthaltenen oder ihnen übermittelten Meldedaten zu verarbeiten, sofern diese zur Wahrnehmung der ihnen gesetzlich übertragenen Aufgaben eine wesentliche Voraussetzung bilden.
22 Die Gesetzesmaterialien zu dieser Bestimmung führen aus, dass die Bürgermeister die Meldedaten generell also unabhängig davon, ob sie Meldebehörde sind oder nicht zur Wahrnehmung der ihnen gesetzlich übertragenen Aufgaben verwenden können. Nachdem die Gemeinden die Meldedaten evidenter Maßen zur Erfüllung vielfältiger Planungsaufgaben besonders benötigen, soll ihnen durch Gesetz auch ausdrücklich diese Befugnis eingeräumt werden. Die Textierung der Bestimmung wurde so die Gesetzesmaterialien an jene des (damaligen) § 7 Abs. 2 des Datenschutzgesetzes angelehnt (vgl. RV 279 BlgNR 18. GP 23).
23 2.3. Das im vorliegenden Fall in Zusammenhang mit der (nach den Vorgaben des § 68 des Statuts der Stadt Wels 1992, LGBL. Nr. 8 [StW 1992]) abgehaltenen „Bürgerumfrage 2016“ vorab an die mitbeteiligte Partei (und andere teilnahmeberechtigte Personen) postalisch versendete Informationsschreiben (mit dem Fragebogen und dem persönlichen Zugangscode) findet seine gesetzliche Grundlage in § 70 StW 1992. Diese Bestimmung trägt der Stadt auf, ihre Einwohner über näher bestimmte Vorhaben insoweit dem nicht gesetzliche Bestimmungen, insbesondere Verschwiegenheitspflichten, entgegenstehen im Vorfeld zu informieren (Abs. 1). Die Information hat durch die Veröffentlichung im Amtsblatt und durch Anschlag an der Amtstafel sowie darüber hinaus auch in anderer wirksamer Weise so zu erfolgen, dass die anzusprechende Zielgruppe möglichst umfassend erreicht werden kann. Hierfür kommen je nach den Gegebenheiten insbesondere die Bekanntmachung durch zusätzlichen öffentlichen Anschlag, durch Aussendungen, durch Verlautbarung in der Presse oder im Rundfunk (Fernsehen) in Betracht (Abs. 2).
24 § 70 StW 1992 bildet entgegen der Auffassung der belangten Behörde eine gesetzliche Grundlage im Sinn des § 7 DSG 2000 bzw. ist die darin vorgesehene Informationspflicht als eine gesetzlich übertragene Aufgabe im Sinn des § 20 Abs. 3 letzter Satz Meldegesetz 1991 anzusehen (vgl. zu den Anforderungen an eine solche gesetzliche Grundlage das zum mittlerweile geltenden Art. 6 Abs. 1 lit. e DSGVO und zu der dort für eine rechtmäßige Verarbeitung personenbezogener Daten ebenfalls geforderten gesetzlichen Grundlage ergangene Erkenntnis VwGH 3.9.2024, Ro 2022/04/0031, Rn. 14 ff).
25 Im angefochtenen Erkenntnis wurde die Frage, ob § 70 StW 1992 die geforderte gesetzliche Grundlage bildet bzw. eine gesetzlich übertragene Aufgabe vorliegt, zwar aufgeworfen, ihre Beantwortung jedoch offengelassen. Das Verwaltungsgericht hat die Verletzung im Recht auf Geheimhaltung vielmehr damit begründet, dass die inhaltliche Information bereits über das Amtsblatt ergangen sei und damit die postalische Versendung an alle Teilnahmeberechtigten weder als erforderlich noch als das gelindeste zur Verfügung stehende Mittel angesehen werden könne.
26 Auch diese Auffassung erweist sich als nicht zutreffend:
27 Der Verwaltungsgerichtshof hat im zitierten Erkenntnis Ro 2022/04/0031 im Zusammenhang mit dem insoweit vergleichbaren Art. 6 Abs. 1 lit. e DSGVO zur Voraussetzung der Erforderlichkeit einer Datenverarbeitung und der Frage, ob sich der dadurch bewirkte Eingriff als gerechtfertigt und verhältnismäßig erweist, ausgesprochen, dass sich eine Datenverarbeitung (unter Berücksichtigung der Umstände des Einzelfalles) auch dann als erforderlich erweisen kann, wenn damit die im öffentlichen Interesse stehenden Aufgaben des Verantwortlichen effizient(er) erfüllt werden können (vgl. dazu zuletzt auch VwGH 19.12.2024, Ro 2022/15/0018, Rn. 31).
28 Ausgehend davon kann die im vorliegenden Fall erfolgte postalische Versendung des Informationsschreibens (mit dem Fragebogen und dem persönlichen Zugangscode) an alle teilnahmeberechtigten Bürger und Bürgerinnen als erforderlich angesehen werden; dies vor allem vor dem Hintergrund, dass auf diese Weise eine einfache Teilnahme ermöglicht und damit das Ziel einer möglichst hohen Partizipation der Bevölkerung an der Bürgerumfrage erreicht werden sollte. Ohne die Übermittlung des persönlichen Zugangscodes (der eine Mehrfachbeteiligung und eine Teilnahme von Nichtberechtigten verhindern soll) hätten sich die Bürger und Bürgerinnen, die an der Umfrage teilnehmen wollten, selbst registrieren und identifizieren müssen, um einen Zugangscode zu erhalten. Dadurch wäre die Schwelle für eine Teilnahme an der Umfrage deutlich erhöht worden.
Durch die persönlich adressierten Schreiben wurden die Empfänger zudem darüber in Kenntnis gesetzt, dass sie zum Kreis der Teilnahmeberechtigten gehören. Diese Information ging aus der zuvor über das Amtsblatt der Stadt erfolgten Verständigung nicht hervor.
29 3. Aus den dargelegten Gründen ist das Verwaltungsgericht zu Unrecht von einer Verletzung im Recht auf Geheimhaltung ausgegangen und hat damit seine Entscheidung mit inhaltlicher Rechtswidrigkeit belastet.
Das angefochtene Erkenntnis war daher gemäß § 42 Abs. 2 Z 1 VwGG aufzuheben.
30 Bei diesem Ergebnis kann es auch dahingestellt bleiben, ob einzelne der im vorliegenden Fall betroffenen Daten der mitbeteiligten Partei öffentlich zugänglich sind, es sich also um solche handelt, hinsichtlich derer das Zentrale Melderegister ohnedies ein öffentliches Register ist (vgl. OGH 18.6.2012, 17 Os 1/12v, der in diesem Fall kein dem Geheimnisschutz des DSG 2000 unterworfenes Recht sieht).
31 Die Entscheidung über den Aufwandersatz beruht auf den §§ 47 ff VwGG in Verbindung mit der VwGH Aufwandersatzverordnung 2014.
Wien, am 30. April 2025
Rückverweise
RIS